JavaScript может быть записан в cookie, и выполнен в контексте локальной машины, что позволяет удаленному пользователю обратиться к локальным файлам.